3-2-1 : la règle d'or pour ne pas perdre vos données

En tant que DSI ou Responsable Informatique, il y a une réalité froide que nous devons tous accepter : la question n'est pas de savoir si vos serveurs vont tomber ou si vous allez subir une cyberattaque, mais quand.

Face à la recrudescence des ransomwares de nouvelle génération (qui ciblent désormais activement les sauvegardes en premier lieu), la survie d'une entreprise ne tient pas à la qualité de ses pare-feu, mais à sa capacité de restauration.

Pour garantir un Plan de Reprise d’Activité (PRA) sans faille, une règle d’architecture s’impose comme le standard absolu de notre industrie : la règle du 3-2-1, aujourd’hui modernisée en 3-2-1-1-0.

Voici le guide méthodologique pour structurer vos sauvegardes, éviter les pièges classiques et s'appuyer sur l'expertise de Wifeel pour en déléguer la complexité opérationnelle.

1. Décryptage technique : De la règle 3-2-1 à la norme 3-2-1-1-0

La règle classique du 3-2-1 est robuste, mais face aux menaces actuelles, les DSI ont dû la faire évoluer. Voici comment concevoir cette architecture :

3 : Trois copies de vos données

Vous devez disposer de trois versions de vos données : la copie de production (active) et au moins deux copies de sauvegarde distinctes.

• Pourquoi ? Statistiquement, la probabilité que trois systèmes indépendants tombent en panne simultanément est proche de zéro.

  
  

2 : Deux supports de stockage différents

Ne stockez pas vos sauvegardes sur le même type de technologie que vos données actives. Si vos serveurs de production sont sur des baies SAN virtuelles, vos sauvegardes doivent être sur des disques physiques différents, des NAS dédiés, ou des bandes.

• Pourquoi ? Pour éviter qu'une panne matérielle généralisée ou un bug de micrologiciel (firmware) propre à un constructeur n'affecte l'ensemble de votre écosystème.
  

1 : Une copie hors-site (Offsite)

Au moins une copie doit être stockée en dehors des limites géographiques de votre entreprise.

• Pourquoi ? En cas d'incendie, de dégât des eaux ou de vol physique dans vos locaux, vos sauvegardes locales disparaîtront en même temps que vos serveurs de production. Ce flux doit être chiffré de bout en bout .

1 : Une copie hors-ligne, immuable ou isolée (Air-Gapped)

C'est la mise à jour indispensable. Une copie doit être physiquement ou logiquement déconnectée du réseau (Air-Gap), ou stockée sur un espace immuable (technologie WORM : Write Once, Read Many).

• Pourquoi ? Si un hacker pénètre votre réseau avec des privilèges administrateur, il cherchera d'abord à chiffrer ou détruire vos sauvegardes connectées. Un stockage immuable empêche toute modification ou suppression des données pendant une période définie, même par l'administrateur système.

0 : Zéro erreur après vérification

Vos sauvegardes ne valent rien si vous ne pouvez pas les restaurer. Le "0" exige un contrôle automatique de l'intégrité des données et des tests de restauration périodiques.

2. Les 4 erreurs critiques à éviter (Le point de vue du DSI)

Erreur n°1 : "Ma sauvegarde tourne sans erreur, donc je suis protégé"

C'est le piège le plus fréquent. Un rapport quotidien indiquant "Backup Successful" signifie simplement que l'outil a écrit des blocs de données sur un disque. Cela ne garantit pas que ces fichiers sont exploitables, ni que la base de données SQL n'est pas corrompue à l'arrivée.

• La solution : Programmer des restaurations à blanc de machines virtuelles entières dans un bac à sable (Sandbox) isolé pour valider l'intégrité du système d'exploitation restauré.

Erreur n°2 : Négliger les notions de RPO et RTO

• RPO (Recovery Point Objective) : Quelle quantité de données acceptez-vous de perdre ? (Ex: si sauvegarde toutes les 24h à minuit, un crash à 23h équivaut à 23h de perte de données).

• RTO (Recovery Time Objective) : Combien de temps l'entreprise peut-elle rester à l'arrêt pendant la restauration ? (Restaurer 5 To de données via une connexion ADSL peut prendre plusieurs jours).

• La solution : Dimensionner vos liaisons réseau et vos équipements de stockage en fonction de ces deux variables imposées par la direction générale.

Erreur n°3 : Le NAS de sauvegarde accessible en direct sur le réseau local

Si votre NAS de sauvegarde est monté en partage réseau standard (SMB/NFS) accessible depuis n'importe quel poste utilisateur ou serveur, un ransomware l'infectera en quelques secondes.

• La solution : Isoler le réseau de sauvegarde (VLAN dédié), interdire l'accès en direct, et utiliser des protocoles sécurisés et des comptes d'administration spécifiques, sans relation d'approbation avec l'Active Directory principal.

Erreur n°4 : Oublier la sauvegarde des environnements SaaS (Microsoft 365, Google Workspace)

C'est une idée reçue tenace : "Mes mails et mes fichiers sont sur Teams/OneDrive/SharePoint, c'est Microsoft qui gère la sauvegarde." C'est faux. Microsoft assure la haute disponibilité de l'infrastructure, mais applique un modèle de responsabilité partagée. Si un collaborateur supprime un dossier par erreur ou qu'un compte est piraté, la rétention par défaut n'est que de quelques jours à quelques semaines.

• La solution : Sauvegarder impérativement vos tenants SaaS vers une infrastructure tierce.

3. Comment Wifeel opérationnalise la règle 3-2-1-1-0 pour votre entreprise

Mettre en place et surtout maintenir une telle architecture de sauvegarde demande du temps, des compétences pointues et une vigilance quotidienne que les équipes informatiques internes, souvent surchargées, peinent à assurer.

C’est ici que l’expertise de Wifeel prend tout son sens. En tant qu'intégrateur et opérateur de services managés (MSP), Wifeel conçoit et infogère votre politique de sauvegarde de bout en bout.

La valeur ajoutée des services managés Wifeel :

1. Audit initial et définition des SLAs : Wifeel analyse vos flux de données pour définir vos RPO et RTO réels, puis configure les fenêtres de sauvegarde pour ne pas impacter votre bande passante durant les heures de bureau.

2. Déploiement de la "Wifeel Backup Appliance" : Fourniture, configuration et sécurisation physique de vos NAS de sauvegarde (ex : Synology avec Active Backup for Business), parfaitement intégrés dans vos baies informatiques et isolés sur des VLANs étanches.

3. Externalisation Cloud sécurisée : Transfert automatique de vos données vers les infrastructures Cloud managées par Wifeel, hautement sécurisées, cryptées, et géographiquement distantes.

4. Sauvegarde Microsoft 365 / Google Workspace : Intégration transparente de la sauvegarde de vos boîtes mails, SharePoint, Teams et OneDrive pour éliminer le risque lié à la politique de rétention limitée des géants du Cloud.

5. MCO (Maintien en Conditions Opérationnelles) & Infogérance active : Les équipes de Wifeel supervisent quotidiennement le succès de vos sauvegardes. En cas d'échec ou d'anomalie de stockage, une alerte est immédiatement prise en compte par un technicien Wifeel qui intervient de manière proactive.

6. Exercices de restauration périodiques (Le "Zero" erreur) : Trimestriellement ou semestriellement, Wifeel réalise des tests de restauration réels de vos serveurs critiques pour s'assurer que le jour où le sinistre surviendra, votre entreprise redémarrera en quelques minutes, et non en quelques semaines.

Conclusion

La sauvegarde n'est pas un projet informatique que l'on configure une fois pour toutes avant de l'oublier. C'est un processus vivant, une assurance-vie pour votre entreprise.

En confiant la mise en œuvre de la règle 3-2-1-1-0 à Wifeel, vous transformez un risque cyber majeur en un sujet totalement maîtrisé et managé par des spécialistes du réseau et de l'infrastructure